# 受控文件夹访问：有效，但要付维护成本

> 它保护什么、为什么正常软件会被拦，以及怎么让它保持有用而不是直接关掉。

**测试环境**

- 版本号: 26300.9457 / 26100.33650
- 版本: Pro (26H2) / Server
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-29

## 一句话结论

受控文件夹访问（CFA）只允许**受信任的应用**写入一组受保护文件夹——默认是文档、图片、视频、音乐、桌面与收藏夹。

- 它阻止**未授权进程**修改这些文件夹，而这正是勒索软件的第一步。
- 它**不判断**进程是否恶意：正常备份工具、同步客户端、游戏启动器也可能被拦。

代价是真的，收益也是真的。要同时看清再决定。

## 查看状态

```powershell
Get-MpPreference | Select-Object EnableControlledFolderAccess,ControlledFolderAccessProtectedFolders,ControlledFolderAccessAllowedApplications
```

| 值 | 含义 |
|---|---|
| `0` | 关闭 |
| `1` | 阻止模式 |
| `2` | 审计模式（只记录） |

先跑一周**审计模式**：能看到本来会被拦的东西，而什么都不坏。

## 正确地开启

1. **Windows 安全中心 → 病毒和威胁防护 → 管理勒索软件防护 → 受控文件夹访问**。
2. 启用。
3. 弄坏一个东西，记下那个应用。
4. **通过受控文件夹访问允许应用** → 加入该可执行文件。
5. 反复直到安静。

```powershell
Add-MpPreference -ControlledFolderAccessAllowedApplications 'C:\Program Files\Vendor\app.exe'
Add-MpPreference -ControlledFolderAccessProtectedFolders 'D:\Projects'
```

> **警告: 不要让整个可执行目录通过**
>
> 把 `C:\Program Files\Vendor\` 加进允许列表不起作用——列表收的是可执行文件。允许临时目录或下载目录，等于完全废除这层保护。

## 最常被拦的

| 应用类型 | 为什么会中招 |
|---|---|
| 备份工具 | 设计上就要写文档目录 |
| 同步客户端（非 OneDrive） | 同上 |
| 存档在文档里的游戏 | 非常常见 |
| 照片/视频编辑 | 写图片/视频目录 |
| 从任务计划运行脚本 | 父进程不被信任 |
| 命令行工具 | `cmd.exe`/`powershell.exe` 写文件 |

对脚本，只有在接受风险时才允许宿主程序（`powershell.exe`）——那是一个很宽的允许。

## 它止步于哪里

- 只保护**本地磁盘**上的文件夹，不保护网络共享。
- 阻止不了已被授予访问权的进程。
- 不加密任何东西，也不替代备份。
- 默认不覆盖**可移动磁盘**。

诚实的说法：CFA 让勒索软件的第一分钟变得吵闹，但它挡不住一个有管理员权限、有时间的攻击者。

## 搭配一个真的能救你的东西

| 层次 | 作用 |
|---|---|
| CFA | 减缓未授权写入 |
| **离线/多版本备份** | 唯一真正的恢复手段 |
| OneDrive 版本历史 | 同步文件的恢复（账户未被攻陷时） |
| 标准用户账户 | 阻止静默安装驱动/服务 |

见[能扛住勒索软件的备份](https://winbook.fyi/zh/windows/security/backup/)。

## 相关

- [核心隔离与 HVCI](https://winbook.fyi/zh/windows/hardening/core-isolation/)
- [BitLocker 恢复演练](https://winbook.fyi/zh/windows/hardening/bitlocker-recovery-drill/)
- [能扛住勒索软件的备份](https://winbook.fyi/zh/windows/security/backup/)

## 实验室边界

E1。CFA 行为有微软文档依据。实验室虚拟机运行 Defender 默认配置，因此未产生拦截事件。

## 来源

- [Microsoft Learn — 受控文件夹访问](https://learn.microsoft.com/zh-cn/defender-endpoint/controlled-folders)
- [Microsoft Learn — Microsoft Defender SmartScreen](https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/virus-and-threat-protection/microsoft-defender-smartscreen/)
- [Microsoft Learn — 身份保护](https://learn.microsoft.com/zh-cn/windows/security/identity-protection/)

---

来源页面: https://winbook.fyi/zh/windows/hardening/controlled-folder-access/